AMD передумала: шифрование памяти TSME вернётся в Ryzen 9000 уже в июле

AMD подтвердила, что вернёт поддержку Transparent Secure Memory Encryption (TSME) в настольные процессоры Ryzen 9000 в июле (полный текст официального заявления приведён ниже). Функция известна под названием Memory Guard в линейке Ryzen PRO, но ранее была доступна и на обычных потребительских процессорах. В начале этого года компания незаметно убрала эту возможность с выходом прошивки AGESA 1.2.7.0. AMD сообщила, что возвращает TSME процессорам не-PRO серии Ryzen 9000 «основываясь на ценных отзывах сообщества».

Источник изображения - AMD

Что такое TSME и зачем оно нужно

TSME — технология шифрования памяти на уровне прошивки. Процессор генерирует ключ для шифрования всех данных в оперативной памяти, обеспечивая защиту от атак типа cold boot, при которых злоумышленник с физическим доступом может извлечь конфиденциальные данные из модулей ОЗУ — например, после внезапного отключения питания, когда содержимое DRAM ещё какое-то время сохраняется.

Важно не путать TSME с близкими технологиями AMD. Secure Memory Encryption (SME) работает под управлением операционной системы, использует единый ключ и позволяет ОС шифровать выбранные страницы памяти. TSME же работает на уровне прошивки: оно шифрует всю оперативную память без участия операционной системы, включается автоматически после активации в BIOS и не требует от пользователя никаких действий. Именно это делало TSME практичным выбором для рядового пользователя. По данным самой AMD, падение производительности при включённой функции составляет менее пяти процентов.

Технология полезна прежде всего тем, кто рассматривает настольный ПК как рабочий инструмент для конфиденциальных данных: журналистам, юристам, финансовым аналитикам. Стоит отметить, что даже полное шифрование диска (вроде BitLocker) не закрывает этот вектор атаки — оно защищает данные «в покое», но не мешает извлечь ключи шифрования из памяти работающей системы. TSME нейтрализует именно эту угрозу.

Как обнаружили пропажу

Поддержку TSME на потребительских процессорах AMD подтверждала ещё в 2020 году на примере Ryzen 7 3700X — тогда это было удачным решением, поскольку функция не требовала специального оборудования и распространялась на всю линейку.

В апреле Бен Килпатрик, называющий себя «приватность-ориентированным» энтузиастом Linux, установил новую операционную систему на компьютер с Ryzen 7 9700X на архитектуре Zen 5. Запустив инструмент аудита прошивки и безопасности Host Security ID (HSI), он заметил, что строка «зашифрованная ОЗУ» сменилась на «не поддерживается», хотя ранее тот же инструмент показывал шифрование как активное.

Килпатрик связался с MSI — производителем своей материнской платы — и добился расширенного тестирования. Инженеры подтвердили, что на старых версиях AGESA потребительские процессоры сообщали о поддержке TSME, а после обновления до AGESA 1.2.7.0 те же чипы рапортовали о «неподдерживаемой» функции. При этом процессоры PRO-серии сохраняли работоспособность TSME как на платах MSI, так и на Gigabyte, и на разных версиях AGESA.

Технические доказательства

MSI провела контролируемое тестирование на материнской плате Asus X870E, поочерёдно устанавливая потребительский Ryzen 9800X3D и PRO-чип Ryzen 9945 с одинаковой конфигурацией BIOS. С PRO-процессором система сообщала tsme_status = 1 (защита включена), с потребительским — tsme_status = 0 (выключена).

Инженеры изучили работу AMD Boot Loader — компонента AGESA, который инициализирует оборудование до загрузки ОС. Внутренний флаг DfIsTsmeEnabled определяет, активируется ли TSME при инициализации прошивки. По данным дампов MSI, для Ryzen 9800X3D этот флаг возвращал FALSE независимо от того, было ли TSME установлено в положение AUTO или ENABLED в BIOS, тогда как Ryzen 9945 и серверные процессоры EPYC возвращали TRUE. Это указывало на то, что кремний по-прежнему способен на TSME, а изменение поведения связано именно с прошивкой.

Молчание AMD и догадки сообщества

Килпатрик завёл отчёт об ошибке в публичном репозитории AMD на GitHub. Инженер AMD Том Лендаки сообщил, что не знает причины изменения, и предложил переключить опцию в BIOS — выключить TSME и включить обратно, а при неудаче обратиться к производителю платы. Марио Лимончелло, старший главный инженер-программист AMD, в итоге ответил: «Приношу извинения, но у меня нет дополнительной информации по этой теме».

Позже маркетинговый отдел MSI передал Килпатрику, что AMD официально уведомила компанию: TSME поддерживается исключительно на процессорах PRO-серии. Без внятных комментариев со стороны AMD сложилось впечатление, что компания отключила TSME через прошивку на потребительских устройствах, чтобы разграничить их с линейкой PRO. Ситуацию усугубляла непрозрачность производителей плат — например, ASUS сначала указала в бета-версии BIOS пункт «удаление функции TSME», но позже заменила формулировку на обтекаемое «улучшения безопасности».

TSME не является критически важной функцией для большинства домашних настольных ПК, поскольку защищает от атак, требующих физического доступа к устройству. Тем не менее, если возможность ранее существовала, отключать её через прошивку без объяснений причин — спорное решение. Для сравнения: Intel предлагает схожую технологию TME-MK даже на потребительских процессорах Core, а не только в коммерческих версиях vPro.

Официальное заявление AMD

В ответ на запрос AMD предоставила следующее заявление:

«Мы очень серьёзно относимся к безопасности данных наших клиентов.

AMD Memory Guard (Transparent Secure Memory Encryption, или TSME) — это аппаратная технология шифрования памяти, доступная на наших процессорах Ryzen PRO для настольных и мобильных устройств, где она поддерживается на уровне кремния. Это основополагающая функция безопасности, и мы не планируем удалять её поддержку из линейки Ryzen PRO. Это обязательство остаётся в силе сейчас и в будущем.

Что касается некоторых настольных процессоров не-PRO серии Ryzen 9000, опция BIOS для включения Memory Guard ранее была доступна, но была удалена в недавнем обновлении. Основываясь на ценных отзывах сообщества, мы восстановим эту опцию в предстоящем выпуске BIOS в июле.»

Как проверить статус TSME у себя

Пользователи могут проверить состояние функции после обновления прошивки. В Linux команда sudo dmesg | grep -i sme покажет, активно ли SME/TSME; инструмент fwupdmgr security отобразит статус пункта «Encrypted RAM» (активен, не поддерживается или сбой). В Windows надёжно подтвердить активность TSME сложнее, поэтому не стоит полагать, что функция работает на не-PRO процессоре Ryzen, без достоверного технического подтверждения. Важный вывод этой истории: пункт BIOS с надписью «TSME» сам по себе не является доказательством того, что шифрование ОЗУ действительно работает.